Les machines électriques sont des éléments vitaux dans les applications industrielles d’aujourd’hui où une conversion d’énergie est nécessaire et en particulier dans les systèmes embarqués. Les systèmes embarqués sont définis par un ensemble de composants électroniques et de logiciels intégrés au sein de dispositifs et fonctionnant d’une manière autonome et en temps réel dans un volume limité. Les voitures, les trains, les métros et les avions contiennent donc tous des systèmes embarqués.

Dès le début du XXème siècle, l’une des premières applications de motorisation électrique embarquée de très forte puissance concernait la propulsion des navires de croisière. Ces moteurs sont toujours accompagnés de convertisseurs de puissance associés et de la commande qui peut être basée sur du contrôle direct du couple (DTC), du contrôle de flux orienté (FOC), de la commande flou, etc. Toutes ces commandes peuvent être associées à une stratégie tolérante aux pannes. La figure 1.1 montre les composants principaux d’une voiture hybride électrique. Aux composants cités ci-dessus, s’ajoutent le moyen de stockage d’énergie et le moteur thermique. Figure 1.1. Composants principaux d’un véhicule hybride électrique [6].

Dans les applications de type automobile, les systèmes embarqués représentent au moins 20% des équipements du véhicule, et probablement 30 à 35% d’ici 2015 [6]. L’automobile du futur aura donc de plus en plus besoin de composants électroniques et électriques innovants et fiables.

Les exigences types pour les moteurs utilisés dans les systèmes embarqués comprennent : des densités de couple et de puissance élevées, une large plage de vitesse comprenant un fonctionnement à couple constant et à puissance constante, un rendement élevé sur une large plage de vitesse et une bonne fiabilité, disponibilité et robustesse. Le coût de la solution doit rester raisonnable.

Certains de ces critères sont de nos jours bien maitrisés. La densité de couple et puissance élevées et le bon rendement peuvent être assurés par les machines synchrones à aimants permanents. Cependant, ces machines peuvent avoir une courte plage de puissance constante en raison de leur capacité de défluxage relativement limitée, due à la présence du champ des aimants permanents. Ce champ peut être diminué par la production d’un champ statorique important s’y opposant.

Les machines asynchrones sont, quant à elles, utilisées pour leurs robustesses et pour leur faible coût. Leur rendement est généralement plus faible que celui des machines à aimants permanents à cause des pertes rotoriques. Dans [7], une étude comparative de topologies de moteurs basée sur une synthèse de l’état de l’art et sur une comparaison des différentes performances a été effectuée. Celle-ci a permis de conclure que le moteur asynchrone semble être un bon candidat pour les applications embarquées mais la concurrence avec les moteurs à aimants permanents reste rude. Les auteurs de [8] montrent qu’une machine asynchrone peut fonctionner avec de faibles ondulations de couple si elle est associée à une commande convenable. La commande directe du couple (DTC) semble être très adaptée pour les applications du type véhicule électrique [9] et encore mieux si elle est associée à des techniques de modulation, permettant de fonctionner à des fréquences de commutation fixes et élevées [10].

La machine à reluctance variable (MRV) gagne en intérêt en tant que candidate pour les applications embarquées, et plus spécialement pour les véhicules électriques ou hybrides électriques en raison de sa construction simple et robuste. Sa commande est aussi simple et elle possède une capacité de fonctionnement à vitesse extrêmement élevée car son rotor est passif. Cependant, le bruit acoustique des MRV est généralement très élevé et le fonctionnement en mode générateur est accompagné par de fortes ondulations de courant [11].

L’autre critère exigé dans les applications embarquées et qui est un sujet d’actualité aujourd’hui reste celui de la fiabilité et de la disponibilité de l’entrainement électrique durant son fonctionnement. Ce qui revient à garantir une bonne sûreté de fonctionnement. L’amélioration de ce critère pourrait être assurée par une redondance des moteurs électriques au sein d’un même système embarqué ou d’une multiplication du nombre de phases ce qui introduirait les machines multi-phases. En 1932, le Normandie constituait une application où la redondance est assurée avec ses quatre moteurs triphasés de 30 MW [12]. Plus tard, les machines multi-phases commencent à apparaître avec le développement des convertisseurs qui ont permis le fractionnement de la puissance dans les phases. Depuis les années 2000, ces machines sont de plus en plus étudiées.

Avant de détailler davantage l’état de l’art de ces machines, commençons par cadrer l’étude de la sûreté de fonctionnement et éclaircir les notions de défaut, défaillance, sécurité, fiabilité, disponibilité, tolérance aux pannes et maintenabilité.

Avant d’évoquer le problème de sûreté de fonctionnement, il faut tout d’abord définir ce qui est un défaut et ce qui est une défaillance (panne).

Un défaut correspond à l’écart entre la caractéristique observée sur un dispositif et la caractéristique de référence.

Les défauts susceptibles d’apparaître sur un système convertisseur-machine peuvent être de diverses origines :

– Défauts au niveau du bobinage de la machine à savoir le circuit ouvert de certains bobinages, le court-circuit de type phase-phase ou phase-neutre de certains bobinages, court-circuit entre-spires d’un même bobinage.

– Défauts au niveau de l’onduleur : L’ouverture du circuit de certaines cellules de commutation de l’onduleur (similaire au circuit ouvert des bobinages), le court-circuit d’un certain nombre d’interrupteurs de l’onduleur.

Quand l’origine des défauts provient de l’onduleur, les travaux menés dans [13] pour des onduleurs triphasés sont aussi applicables pour des machines à nombre de phases plus élevé. Les auteurs proposent différentes topologies de connexion d’onduleur, dont :

• Une topologie à interrupteurs redondants basée sur l’ajout de fusibles et de triacs,

• Une topologie à double interrupteurs redondants avec un quatrième bras d’onduleur et deux thyristors et fusibles par bras d’onduleur,

• Une troisième topologie qui est une combinaison des deux premières,

• Une quatrième topologie qui est une configuration à deux onduleurs en cascade,

• Une topologie où le neutre de la machine est connecté à un bras supplémentaire de l’onduleur.

– Défauts d’ouvertures ou courts-circuits des connexions d’alimentation ou au niveau de l’alimentation elle-même.

– Défauts de courts-circuits au niveau des tôles magnétiques [14][15].

– Défauts des capteurs (courants, tensions, position ou vitesse). Dans [16], des méthodes de détection et d’isolation des défauts de capteurs des machines électriques sont proposées. Dans [17], les auteurs proposent des systèmes de commande actifs et tolérants aux défauts des capteurs de vitesse ou de courants pour des machines asynchrones dédiées à des véhicules électriques ou hybrides. Les systèmes proposés permettent de maintenir de bonnes performances de commande et assurent la douceur de transition d’une technique de commande à une autre.

– Défauts de contrôle qui pourrait être au niveau des consignes, des régulateurs de courant ou de vitesse ou bien au niveau du matériel dans lequel le programme de commande a été implémenté (dSPACE, FPGA, DSP,…)

– Défauts d’ordre mécanique (déséquilibre des arbres et des rotors, jeux mécaniques, défauts dans les roulements à billes ou à rouleaux, etc).

Parmi tous les défauts précédents, les défauts sur les enroulements statoriques sont considérés comme les types de défauts les plus fréquents dans les machines de faible et moyenne puissance. Tandis que les défauts sur les roulements sont les plus fréquents dans les machines de forte puissance (de 100kW à 1MW) car les contraintes mécaniques pour ces types de machines sont élevées [18]. Ces défauts de roulements peuvent être dus à des phénomènes de fatigue, à la perte de lubrification, la contamination du lubrifiant ou à cause d’une circulation de courants de fuite induits par les onduleurs à MLI [19].

Dans nos travaux de thèse, nous considérons uniquement les défauts sur les enroulements statoriques de type défauts d’ouvertures ou courts-circuits de phases. L’auteur dans [2] évoque quelques conséquences qu’il faudra prendre en compte lors de l’apparition de ces types de défauts. En effet, quand une phase est ouverte, le potentiel du point milieu d’un bras de l’onduleur n’est plus contrôlé et la tension n’est plus imposée par l’onduleur. On se retrouve dans une situation de « générateur non contrôlé » (UnControlled Generator, UCG) [2]. Une solution consiste à déconnecter la phase en défaut et ceci en modifiant légèrement la structure de l’onduleur, comme proposée pour les défauts au niveau de l’onduleur.

Il existe deux définitions fondamentales d’une défaillance (appelée aussi « panne ») selon la norme internationale CEI-50 :

– C’est la perte de la faculté du système complet de remplir la fonction pour laquelle il a été conçu.

– C’est la perte de la faculté d’un élément du système d’assurer la fonction pour laquelle il a été conçu, sans pour autant compromettre la faculté du produit de fonctionner en tant qu’ensemble.

Par ces définitions, nous pouvons comprendre que la considération d’apparition d’une défaillance dépend du niveau d’exigence du cahier des charges. Par exemple, si dans une application embarquée, il est demandé que la machine produise un couple égal à Tn ± 10% avec une tolérance au niveau de l’ondulation allant jusqu’à 20% et des pertes Joule égales à PJ ± 20% (Fonction pour laquelle la machine a été conçue). Le système sera considéré défaillant (en panne) dès que les performances de la machine électrique ne sont pas conformes à ces spécifications. Dans ce cas là, il faut agir rapidement et améliorer le fonctionnement dans le but de rendre la machine disponible de nouveau. La machine fonctionnera de nouveau conformément aux exigences même si le défaut persiste. Elle sera dans ce cas « tolérante aux pannes ». Si maintenant l’apparition d’un défaut impacte les performances tout en les gardant comprises dans les intervalles exigés (La fonction pour laquelle elle a été conçue est assurée), et si le défaut n’a pas de conséquences sur les autres éléments du système alors celui-ci ne sera pas considéré comme défaillant.

Pour un système machine-convertisseur, la probabilité qu’une défaillance apparaisse croit avec l’augmentation des organes utilisés. Ce nombre d’éléments est de plus en plus important dans les véhicules hybrides électriques ou véhicules électriques d’aujourd’hui qui deviennent de plus en plus sophistiqués pour répondre aux exigences des clients et garantir un bon niveau de confort et de luxe. Pour les applications à variation de vitesse dans la gamme 10kW-100kW, les machines industrielles ont un taux de panne de l’ordre de 6.10-6 à 7.10-6/h [20]. Les données synthétisées et traitées par [20] sont basées sur des sondages effectués par d’autres travaux. Quant au taux de défaillance d’une cellule de commutation d’onduleur à IGBT avec sa commande rapprochée, il est estimé que sa valeur approchée est de l’ordre de 10-5/h [21]. Ceci montre que pour un système convertisseur-machine, la probabilité que le défaut survienne de l’onduleur est plus élevée.

Le concept de sûreté de fonctionnement définit l’étude de la fiabilité et la disponibilité des systèmes tout en évaluant les risques des défauts et leurs conséquences sur le fonctionnement et sur la sécurité en attendant l’étape de maintenabilité (la réparation). Dans le paragraphe suivant, nous commencerons d’abord par définir les différents aspects de sûreté de fonctionnement qui sont nécessaires pour comprendre la différence entre fiabilité, disponibilité et tolérance aux pannes. Par la suite, nous détaillerons divers moyens mis en œuvre pour pallier à la criticité de l’apparition de certains défauts.

Le but de la sûreté de fonctionnement c’est d’évaluer les risques potentiels, de prévoir l’occurrence des défaillances et de tenter de minimiser les conséquences des situations catastrophiques lorsqu’elles se présentent. Plusieurs méthodes comme les méthodes d’analyse fonctionnelle telles que l’AMDEC (Analyse des Modes de Défaillance, de leurs Effets et de leurs Criticités) et les diagrammes de fiabilité sont actuellement étudiés pour l’analyse de la sûreté de fonctionnement d’un système [21]. Selon la norme CEI-50, la sûreté de fonctionnement est l’aptitude d’une entité à accomplir une ou plusieurs fonctions requises dans des conditions données.

Il existe plusieurs aspects de sûreté de fonctionnement. Celle-ci inclut la fiabilité, la disponibilité et la sécurité et la maintenabilité [22]. Les deux premières peuvent s’inscrire dans le domaine de la tolérance aux pannes. Commençons par définir ces différents termes.

La sécurité fait référence à deux aspects différents. La sécurité au sens « Safety » en anglais correspond à un mauvais fonctionnement du système qui n’a pas d’incidence catastrophique sur son environnement. La sécurité (au sens « Security ») souvent utilisée en informatique et télécommunications définit un système qui assure la confidentialité et l’intégrité des informations [22].

Dans ces travaux, nous considérerons que la sécurité des biens et des personnes est assuré et nous nous contenterons d’étudier la disponibilité et la tolérance aux pannes.

La fiabilité est l’aptitude d’un système ou d’un composant à accomplir les fonctions prévues dans des conditions précises et pendant une période de temps spécifiée. En d’autres termes, c’est la probabilité que le système ne soit pas défaillant entre le temps 0 et le temps t. L’auteur dans [21] donne l’exemple d’un avion pour illustrer ce concept. Lorsqu’un avion décolle pour accomplir sa mission, le but du pilote c’est d’accomplir le vol selon le plan, en toute sécurité et sans apparition d’aucune panne. On définit ainsi le temps moyen jusqu’à l’apparition d’une défaillance par MTTF (Mean Time To Failure) (Figure 1.2). Le MTBF (Mean Time Between Failure) est le temps moyen entre deux défaillances consécutives.

La disponibilité, au contraire, est la mesure dans laquelle un système ou un composant est opérationnel et accessible lorsqu’on fait appel à lui. Il est en état de remplir sa fonction première dans des conditions données et à un instant donné. On définit la disponibilité instantanée par la probabilité A(t) que le système accomplisse un service correct à l’instant t. La disponibilité moyenne a =E(A(t)) est une fraction moyenne du temps où le système est disponible (sur une période donnée) [22].

Réparer un système en panne c’est le remettre en état de rendre un service correct (conforme aux spécifications requises). On définit le temps moyen de réparation : MTTR (Mean Time To Repair). Cela comprend le temps de diagnostic du problème et le temps de réparer le système. La maintenabilité est alors l’aptitude d’une entité à être maintenue ou rétablie dans un état dans lequel elle peut accomplir une fonction requise lorsque la maintenance est accomplie dans des conditions données.

L’Eq. 1.1 montre l’influence du MTTR sur la disponibilité. Autrement dit, si un système est long à réparer après une panne, sa disponibilité se dégrade.

Figure 1.2. Notions de bases relatives à la sûreté de fonctionnement.

Nous avons souvent tendance à confondre la fiabilité et la disponibilité. Il est vrai qu’une haute fiabilité se traduit le plus souvent par une haute disponibilité, mais ceci n’est pas toujours vrai et l’inverse ne l’est pas non plus. Sur la figure 1.3, nous présentons un système fiable mais peu disponible et un système disponible mais peu fiable [22].

Figure 1.3. Différence entre fiabilité et disponibilité [22].

Pour des systèmes fortement critiques, une fiabilité élevée n’est pas toujours suffisante et il est alors nécessaire de pouvoir maintenir, en cas de panne, la disponibilité de la fonction réalisée. Ceci introduit la notion de tolérance aux pannes qui implique la capacité à assurer la mise en sécurité (au sens « Safety ») par confinement des défauts [21].

Dans ce mémoire, on s’intéressera, en particulier, à l’aspect tolérance aux pannes qu’on définira, ici, comme étant la capacité à continuer le fonctionnement en présence d’un défaut ou d’une défaillance. On confondra, alors ici, les appellations défaut, défaillance et panne. La tolérance aux défauts d’ouvertures ou de courts-circuits de phases permettra alors une continuité de fonctionnement selon les spécifications requises et contribuera ainsi à l’amélioration de la disponibilité de la machine.

Nous pouvons améliorer la tolérance aux pannes par une redondance dans laquelle l’ensemble du système est répliqué une ou plusieurs fois pour une utilisation de réserve. Au lieu d’utiliser une machine classique avec trois phases connectées en étoile, nous pouvons augmenter le nombre de machines identiques ou le nombre d’étoiles. Ceci est la méthode dite ‘‘redondante’’. Cependant, ceci conduit à un encombrement et un coût importants. Dans certaines applications comme le transport, en mettant l’accent sur l’aéronautique, le poids et la taille rendent les énormes redondances quasiment impossibles. La maximisation du couple et de la densité de puissance par rapport à la taille et au poids doivent être une priorité dans le cycle de conception.

Une deuxième alternative serait alors les machines à nombre de phases élevé [23]. Par une bonne gestion de la commande de ces machines en cas de pannes, nous pourrions soit garder les mêmes performances que celles du mode de fonctionnement normal (sain), soit maintenir des performances minimales mais acceptables pour un fonctionnement en mode dégradé ce qui rendrait la machine disponible pour accomplir sa fonction dans des conditions données.

Dans le cas des machines redondantes, nous allons avoir des machines ou étoiles principales qui sont alimentées en fonctionnement normal sans défauts puis des machines ou étoiles redondantes alimentées dès l’apparition d’un défaut sur l’une des phases principales. Les machines ou les étoiles principales et redondantes sont alimentées indépendamment par des convertisseurs indépendants. Les deux onduleurs qui alimentent les étoiles peuvent être connectés à la même source ou à deux sources indépendantes comme illustré à la figure 1.4 [24]. Les deux structures d’alimentation permettent de fonctionner en mode sain et en cas de défauts. Les enroulements de ces machines sont le plus souvent alimentés de manière indépendante [2].

Figure 1.4. Moteur à aimants permanents double-étoile alimenté par deux onduleurs de tension connectés à (a) une source unique, (b) deux sources indépendantes [24].

Si nous prenons l’exemple de deux machines identiques, la connexion de ces deux machines peuvent être en série, en parallèle ou indépendante. Le système multi-moteur avec une connexion mécanique en parallèle ou en série est souvent problématique pour les applications embarquées dans lesquelles l’encombrement d’un système est limité. Nous présentons sur la figure ci-dessous un exemple d’une machine double-étoile. Cela revient à intégrer les deux machines en série ou en parallèle dans un seul encombrement, qui forme une machine unique mais avec deux étoiles indépendantes. Avec cette configuration, le système est beaucoup plus compact [25].